URL中的句点会导致ColdFusion错误

Question

我目前遇到的问题是用户(或机器人,不确定)访问在子目录中有三个句点的不存在的链接.

例如,如果有人去:

http://www.example.com/.../test/index.cfm?

然后我收到以下错误:

String index out of range: -1 null
The error occurred on line -1.

我只用了1个周期和2个周期进行了测试,直接导致404错误.任何具有3个或更多句点的链接都会导致此错误.

我的问题是我能做些什么来阻止这种情况发生？我的想法是将它们发送到404错误页面或重定向它们.我怎么能这样做？

我在Microsoft-IIS/7.0上运行ColdFusion 8.0.1.

从Miguel-F编辑

我在IIS 7.5上使用ColdFusion 9.0.1复制了这个问题,并且在PCI扫描期间也发现了它.

错误:

java.lang.StringIndexOutOfBoundsException

堆栈跟踪:

java.lang.StringIndexOutOfBoundsException: String index out of range: -1 at
java.lang.AbstractStringBuilder.delete(Unknown Source) at 
java.lang.StringBuffer.delete(Unknown Source) at 
coldfusion.util.Utils.collapseDotDots(Utils.java:647) at 
coldfusion.util.Utils.canonicalizeURI(Utils.java:601) at 
coldfusion.filter.PathFilter.invoke(PathFilter.java:43) at 
coldfusion.filter.ExceptionFilter.invoke(ExceptionFilter.java:70) at 
coldfusion.filter.ClientScopePersistenceFilter.invoke(ClientScopePersistenceFilter.java:28) at
coldfusion.filter.BrowserFilter.invoke(BrowserFilter.java:38) at 
coldfusion.filter.NoCacheFilter.invoke(NoCacheFilter.java:46) at 
coldfusion.filter.GlobalsFilter.invoke(GlobalsFilter.java:38) at 
coldfusion.filter.DatasourceFilter.invoke(DatasourceFilter.java:22) at 
coldfusion.filter.CachingFilter.invoke(CachingFilter.java:62) at 
coldfusion.CfmServlet.service(CfmServlet.java:201) at 
coldfusion.bootstrap.BootstrapServlet.service(BootstrapServlet.java:89) at 
jrun.servlet.FilterChain.doFilter(FilterChain.java:86) at 
coldfusion.monitor.event.MonitoringServletFilter.doFilter(MonitoringServletFilter.java:42) at
coldfusion.bootstrap.BootstrapFilter.doFilter(BootstrapFilter.java:46) at 
jrun.servlet.FilterChain.doFilter(FilterChain.java:94) at 
jrun.servlet.FilterChain.service(FilterChain.java:101) at 
jrun.servlet.ServletInvoker.invoke(ServletInvoker.java:106) at 
jrun.servlet.JRunInvokerChain.invokeNext(JRunInvokerChain.java:42) at 
jrun.servlet.JRunRequestDispatcher.invoke(JRunRequestDispatcher.java:286) at 
jrun.servlet.ServletEngineService.dispatch(ServletEngineService.java:543) at 
jrun.servlet.jrpp.JRunProxyService.invokeRunnable(JRunProxyService.java:203) at 
jrunx.scheduler.ThreadPool$ThreadThrottle.invokeRunnable(ThreadPool.java:428) at 
jrunx.scheduler.WorkerThread.run(WorkerThread.java:66)

Answer 1

由于您使用的是 IIS，我认为您可以使用IIS URL 重写来拦截并发送HTTP 400 (bad request) Error。

这会在它到达 Coldfusion 之前捕获它。